Férias e cibersegurança: tipos de ataque ilustrados por casos reais

O período de férias é frequentemente sinónimo de descontração, viagens e desligamento. Paradoxalmente, contudo, coincide com um aumento das ciberameaças. Os cibercriminosos exploram este período para visar utilizadores menos vigilantes ou empresas cujas equipas TI funcionam com efetivos reduzidos. De acordo com a CISA e o FBI, os ataques de ransomware e outras ameaças aumentam durante as férias, quando a monitorização é menos ativa e os sistemas estão mais expostos. A época estival também regista um aumento das tentativas de phishing e de smishing, bem como a exploração das redes Wi-Fi públicas, tornando a vigilância ainda mais essencial antes e durante as suas viagens.

Para todos os profissionais, e ainda mais para os utilizadores particulares, os riscos vão além do roubo de informação. Incluem o comprometimento de dados sensíveis, a instalação de malware ou pedidos de resgate de montantes substanciais. Durante as férias, a multiplicação de utilizações digitais - reservas online, autenticação em hotspots desconhecidos, verificações periódicas de contas em dispositivos móveis - abre novas janelas de ataque. Adotar boas práticas antes de partir (atualização dos sistemas, ativação de VPN, autenticação multifator, etc.) é crucial para proteger eficazmente os seus dados e desfrutar da pausa estival com tranquilidade.

1. Phishing (e-mails fraudulentos / sites falsos)

Caso: burla dirigida a viajantes da Booking.com na Austrália (2023-2024)

A ACCC (autoridade australiana da concorrência) registou 363 queixas em 2023 relacionadas com a Booking.com, um aumento de cerca de 600% em relação a 2022, com prejuízos acumulados que ultrapassaram os 337 000 dólares .

Os utilizadores receberam mensagens através da plataforma Booking.com - aparentemente do seu hotel - a pedir uma "verificação de fundos" através de uma ligação. O site imitava quase na perfeição a interface oficial, mas tratava-se de uma burla destinada a roubar os dados do cartão de crédito. Uma vítima reconheceu que a mensagem parecia autêntica, mas que os pedidos mudavam quando comunicava de novo pelo canal oficial .

2. Smishing (SMS fraudulentos)

Caso: campanha Roaming Mantis em França (2022)

O grupo chinês Roaming Mantis enviou SMS fraudulentos a utilizadores em França, pedindo-lhes para clicar numa ligação a pretexto de uma encomenda ou de uma assinatura. No Android, isto resultava na instalação do MoqHao (ou XLoader), malware capaz de roubar dados e intercetar SMS; no iOS, as vítimas eram redirecionadas para uma falsa página da Apple para roubo das suas credenciais .

Cerca de 70 000 dispositivos Android franceses foram comprometidos por este método .

3. Ataques em Wi-Fi públicos (Man-in-the-Middle)

Caso: interceção em ambientes turísticos

Estudos da McAfee e da FTC sublinharam que as redes Wi-Fi públicas em hotéis e aeroportos são frequentemente mal protegidas. Os cibercriminosos podem intercetar dados (credenciais, cartões de crédito, SMS) em ligações não cifradas. A utilização de uma VPN é fortemente recomendada para se proteger. (Nota: a ligação exata não está disponível, mas este tipo de aviso está amplamente documentado pelas autoridades de cibersegurança.)

4. Ransomware

Tendência geral no setor das viagens (2024)

A Check Point Research documentou que, em média, a indústria das viagens enfrenta 1 270 ciberataques por semana em 2024, incluindo phishing, falsas reservas e ransomware. Estes ataques são frequentemente lançados quando o pessoal informático está ausente, permitindo aos criminosos cifrar dados sensíveis ou exigir um resgate para restabelecer o acesso aos sistemas. (Os números provêm de relatórios gerais de segurança informática para o setor.)

5. Vishing (burlas telefónicas por voz)

Caso clássico: fraude do IRS / "Hollywood Con Queen" (EUA)

Entre 2012 e 2016, redes de vishing fizeram-se passar por agentes do IRS norte-americano ou da imigração, ameaçando as vítimas com detenção caso não pagassem imediatamente. Em paralelo, a chamada burla "Hollywood Con Queen" recorria a chamadas emocionais, frequentemente repartidas por vários dias, para extorquir somas elevadas às vítimas. (Estas práticas estão bem documentadas em fontes fiáveis, como a Wikipédia e relatórios governamentais.)

6. Quishing (fraude por código QR)

Caso geográfico: zonas turísticas europeias (exemplos generalizados)

Em alguns locais de férias (parques de estacionamento, restaurantes, cartazes), códigos QR maliciosos são colados por cima ou substituem os códigos oficiais. Ao digitalizá-los, os utilizadores são redirecionados para um site de phishing ou para uma página de instalação de malware. Embora menos mediatizado, este tipo de ataque está em ascensão e deve ser levado a sério.

Quadro-resumo

Recomendações específicas

• Phishing e Smishing: nunca clique diretamente numa ligação recebida por SMS ou e-mail; aceda diretamente ao serviço oficial através do seu browser ou da aplicação.

• Wi-Fi público: utilize sempre uma VPN para cifrar as comunicações; evite iniciar sessão numa conta sensível numa rede aberta.

• Ransomware: ative a autenticação multifator (MFA), realize cópias de segurança externas regulares, restrinja os direitos de administração.

• Vishing: mantenha-se desconfiado face a chamadas urgentes, desligue e verifique através dos contactos oficiais.

• Quishing: digitalize apenas códigos QR fornecidos por fontes oficiais e verifique a sua origem antes de seguir a ligação.

Os períodos de férias proporcionam verdadeiras oportunidades aos cibercriminosos: phishing sofisticado (nomeadamente gerado por IA), smishing em larga escala, falsas ligações Wi-Fi, códigos QR desviados e ransomware dirigido. Os exemplos reais mostram que mesmo utilizadores avisados podem ser apanhados. Adotar boas práticas - vigilância, tecnologias de segurança, formação - mantém-se essencial para se proteger eficazmente.